![将 AP 的管理 IP 映射至不同的、更受信任的 LAN 子网中?](https://linux22.com/image/1581611/%E5%B0%86%20AP%20%E7%9A%84%E7%AE%A1%E7%90%86%20IP%20%E6%98%A0%E5%B0%84%E8%87%B3%E4%B8%8D%E5%90%8C%E7%9A%84%E3%80%81%E6%9B%B4%E5%8F%97%E4%BF%A1%E4%BB%BB%E7%9A%84%20LAN%20%E5%AD%90%E7%BD%91%E4%B8%AD%EF%BC%9F.png)
我不确定解决这个问题的最佳方法,尽管可能存在几种解决方案(包括一些非常简单的“不用担心”的解决方案)。
我的 LAN 已完全隔离 WiFi 和有线子网,位于不同的 NIC 上。(例如,WiFi=10.10.0.0/16,有线=10.20.0.0/16)。路由器上的防火墙规则阻止所有到达 wifi 接口的流量传递到 LAN 或任何路由器 IP 本身 - 因此 WiFi 客户端只能访问 WAN,而不能访问其他任何内容。
但是 WiFi 子网还包括一个用于 AP 管理系统(webui、ssh)的 IP。我希望将其与不太可信的 WiFi 端完全隔离,方法是将 WiFi 客户端流量放在 VLAN 6 中,将往返于管理 IP 的流量放在 VLAN7 中。我希望 VLAN7 可以从 LAN 访问(理想情况下,可以通过类似于 LAN 交换机和基础设施服务的 LAN IP 访问,就像从 LAN 看到的一样),而不能从 VLAN6 访问。
我正在使用 pfSense 或它的近亲 opnsense,它们在这些领域的功能几乎相同。
我可以想象我会设置 VLAN,在 LAN 上定义虚拟 IP,并在一个或另一个接口上使用 1:1 NAT 将虚拟 IP 桥接到 WiFi 管理 IP。然后我会在 VLAN 接口上添加过滤规则,以确保只有从 LAN 到 AP 管理 IP 的数据包才允许进入 VLAN 7。(最后一部分我很满意,不需要帮助)
但我不太清楚路由器上的 VLAN/NAT 细节。我该怎么做?(即实际步骤)